本周初，香港電腦保安事故協調中心（HKCERT）公佈了第三季保安觀察報告，相比起去年頭三季，數據顯示今年頭三季安全事故數字上升 213%，再加上物聯網（IoT）的普及必將帶來更多安全問題。為了提升企業的網絡安全意識，香港生產力促進局聯同本地十個資訊保安專業組織，舉辦一連兩天的「資訊保安高峰會2019」（Information Security Summit 2019）。 於今早揭幕的高峰會，以「使用新技術保護數據 應對網絡安全新威脅」為主題，生產力局總裁畢堅文在致辭時已指出，物聯網設備在智能製造和智慧城市上的應用普及化存在不少問題，面對網絡上愈趨猖獗及複雜的黑客挑戰，以及世界各地引入更嚴謹的個人私隱政策規管，企業必須更迫切提升自身的網絡防禦水平。 充當企業安全顧問 他續說生產力局剛推出全新顧問服務「Security-as-a-Business」（SECABiz），便是為了協助企業和軟件開發商做好系統保安；針對物聯網安全性，亦正與德國弗勞恩霍夫生產技術研究所（Fraunhofer IPT）合作制定的「工業4.0推行策略評估服務」，加入網絡保安元素。 政府資訊科技總監林偉喬先生（前排右二）、生產力局總裁畢堅文先生（前排左二）、生產力局首席數碼總監黎少斌先生（前排左一）和資訊保安高峰會2019籌委會主席Dale Johnstone先生在「資訊保安高峰會2019」開幕禮上與一眾主辦機構代表合照。 大會開幕禮今天由香港特別行政區政府資訊科技總監林偉喬先生主禮，兩天會議雲集多位來自美國、加拿大、英國、日本和本港等地的資訊保安專家，以及多家國際知名企業代表，分享資訊保安技術在物聯網、人工智能、5G等領域的應用和潛在的網絡安全威脅。生產力局亦會由十月至明年一月期間，舉辦多場工作坊，介紹雲端及流動環境的數據保安、大數據分析等範疇的最新技巧和方案。 詳情請瀏覽生產力局網站 https://www.hkpc.org/

想開始試用智能家居，最方便嘅方法就係買個具備管家功能嘅智能喇叭，好似 Google Home、Amazon Alexa 呢兩個智能喇叭就非常多人買，當中又以 Google Home 較受歡迎，因為無論喺支援嘅品牌同埋語音操控表現上，都穩佔上風。不過，唔少用家都會擔心，呢啲喇叭會唔會偷偷錄低自己講嘅嘢再傳送出去？事關 Google 同 Amazon 都承認會收集語音嚟改善佢哋嘅助理功能，而事實上 Amazon 曾經喺 2017 年應阿肯色州警方及控辯雙方要求，交出一段兇殺案現場嘅錄音作為呈堂證供，所以話，用唔用真係好視乎大家覺得個人私隱有幾重要。 為咗證明呢啲智能喇叭真係存在安全漏洞，德國網絡安全研究實驗室 SRLabs 嘅白帽黑客，分別為 Google…

想偷取目標對象嘅資料，而又可以做到神不知鬼不覺，原來唔需要好高科技，只要喺對方嘅防火牆、路由器等硬件上加裝一粒晶片就做到。有專家示範只要喺網上買粒價值兩蚊美金嘅晶片，再偷偷地裝入硬件嘅底板上就得，提醒大家係無想像中咁難㗎！ 示範呢個技術嘅係 ICS 安全公司 FoxGuard 嘅專家 Monta Elkins，嚟緊佢將會喺月尾嘅安全大會 CS3sthlm 上詳細公佈佢嘅 PoC 內容。為咗俾大家知道佢嘅研究有料到，所以佢係提前公開部分內容。Elkins 首先喺一塊價值兩蚊美金嘅 Digispark Arduino 底板上搵咗粒 ATtiny85 晶片嚟修改程式，呢塊晶片只係得 5mm 大，睇相就明白喺底板上出現一塊咁細嘅晶片，唔單只好難發現，同時亦係好合理。…

科技愈發達，帶嚟嘅方便就愈多，好似以前揸車要周圍搵車匙先可以撻車，但自從有咗無車匙 Keyless Go 技術，只要車主袋住車匙喺身就得。不過，呢種無線識別嘅技術，亦令到受攻擊嘅層面加大，黑客利用意想唔到嘅方法，將車匙遙距拎到手，根據 The Association of British Insurers 發表嘅統計數字顯示，單係 2018 年經佢哋處理嘅失車數字就多達 56000 架，比起 2017 年上升咗 12%。雖然唔係全部都因為呢種技術而失車，但 ABI 都警告 Keyless…

做咗資安界咁多年，其中一個印象最深刻嘅場景，就係 2010 年嗰屆 Black Hat 網絡保安大會，研究員 Barnaby Jack 現場示範點樣快速入侵一部提款機，成功令佢嘔晒所有錢出嚟。當部機嘔緊錢，畫面仲要顯示「JACKPOT」老虎機中獎畫面，所以日後呢類型入侵都叫做「jackpotting」。 雖然嗰次示範已經為提款機嘅保安響起警號，但話晒都要有番咁上下技術先做到，加上又未有真實案例出現，所以開頭都唔係咁多人關心。事隔幾年就唔係咁講喇，2017 年德國就開始出事，當地部門發現由 2 月開始到 11 月，總共發生咗至少十單 jackpotting 事件，雖然唔係每單都成功偷到錢，但加加埋埋都令銀行唔見咗 140 萬歐元！ 你可能會諗，銀行網絡咁高保安，佢哋係點樣入侵到部提款機嘅呢？其實好簡單，入侵銀行網絡難度咁高，梗係唔係人人咁做，大部分黑客係直情撬開部提款機，將裝咗 jackpotting 程式嘅…

Samsung S10 嘅超聲波指紋鎖，推出以嚟真係問題多多，例如之前有黑客成功用 3D 打印嘅指紋嚟破解指紋鎖，又因為超聲波掃描技術要緊密接解手指嘅關係，唔可以用無法緊貼住屏幕嘅玻璃保護貼，令到用家無乜選擇。而最新發現，原來要解指紋鎖係唔使咁麻煩嘅，只係一個廉價矽膠保護套，就可以令指紋鎖無效化，如果唔見咗部手機而又有設定到電子付款，今次真係可以俾人盜用嚟購物！ 發現呢個大漏洞嘅人並唔係乜嘢安全專家，只係英國一個尋常女用家 Lisa。話說佢最近收到老公送嘅 Samsung S10 後，就諗住買個保護套嚟保護個曲芒。點知 Lisa用3蚊英磅買咗個矽膠保護套返嚟之後，就發現指紋鎖竟然廢咗武功，佢本身只係登記咗一隻指紋用嚟解鎖，但戴咗套後就變成十隻手指就開得到；唔單只咁，就連佢老公嘅指紋一樣得。由於 Lisa 嘅妹妹都係用 Samsung S10，經測試後發現個套一樣可以令指紋鎖無效化！相信事件嘅元兇就係個矽膠保護套喇。 Lisa 即刻打去 Samsung 客戶服務部舉報呢件事，不過 Samsung…

網絡安全好重視認證，不過，正如有安裝防毒軟件都唔係百分百安全，有認證其實都只係安全嘅第一步，因為黑客都識得以正常途徑攞認證，以 Apple Developer Certificate 為例，呢個就係黑客慣常使用嘅手段，用嚟瞞過 Mac OS 嘅 Gatekeeper、XProtect 防禦系統，等惡意軟件可以成功安裝。 最近上述嘅攻擊手段，又再次出現喺 Mac OS 之上。發現今次呢個 TARMAC 安全漏洞嘅係數碼媒體安全公司 Confiant，其實佢哋嘅專家早喺今年初，已發現 TARMAC 嘅前奏攻擊 Shlayer。當時專家指出 Shlayer…

根據全球市場調查公司 TrendForce 嘅報告顯示，HP 喺手提電腦市場上已經連續 13 季取得銷量冠軍，每季都賣出接近一千萬部 notebook，成績非常驕人。不過，當發現原來跟機預裝軟件竟然存在嚴重漏洞，就即係話愈多人中咗招，唔知會唔會影響下季銷量呢？ SafeBreach Labs 嘅安全專家 Peleg Hadar 發現，一款預裝喺 HP 電腦同手提電腦嘅軟件——HP Touchpoint Analytics，有漏洞可以俾黑客提升管理權限，進而下載惡意程式控制電腦系統。由於 HP Touchpoint Analytics…

睇開我哋嘅報導，應該知道而家喺盜用信用卡資料嚟講，邊個黑客集團最離譜。無錯，就係 Magecart 嘞。呢個慣犯好棘手，佢最叻就係喺網購網站加入一段好短嘅惡意程式碼，靜靜雞偷走用戶去網站買嘢時輸入嘅信用卡資料，英國航空、TicketMaster、Newegg、Forbes 等等好多大企業都中過佢哋招，有網絡專家調查後發現，Magecart 由2010年到而家，已經發展成超過十個小組，每個小組所採用嘅手法都唔一樣，而且愈後期出現嘅團隊，手法就愈複雜，增加偵查難度，真係搞到人人自危。 最近網絡安全專家 RiskIQ 又發表咗份報告，話 Magecart 攻陷嘅網站愈嚟愈多，而家已經超過 200 萬個網站中招，其中好多大企業都採用嘅網購平台 Magento 同埋 Opencart，更加係重災區。RiskIQ 專家話單係用 Magento 網購平台嘅已有 9,688 個網站存有…

成日講某某機構遭受黑客攻擊，其實同大家有乜直接關係呢？舉例如果公共運輸交通系統遭受黑客攻擊，可能要用返現金付款，又或轉搭其他交通工具；櫃員機無錢撳，就要走去銀行排隊攞錢。不過如果係醫院遭受攻擊，原來就唔可以再接收新症，即使病人情況危急，就要跨區去第二間醫院睇急症，隨時會因為咁而失救！ 好似美國阿拉巴馬州（Alabama）三間採用 DCH 醫療系統嘅醫院，現時就因為系統受到黑客嘅勒索軟件攻擊，導致無法啟用系統，為求診病人登錄資料或翻閱病歷，搞到醫院唔再接受新症，除咗急症病人外，所有病人都被轉介去其他醫院治療，其他預約咗檢查服務或手術嘅病人，亦由於醫院睇唔返病歷，有需要為病人安排改期。澳洲方面亦有七間維多利亞州嘅醫院中招，政府發言人話由於受到黑客攻擊，令到系統無法查閱病歷、覆診預約及管理服務，所以同樣要為病人重新排期，部分醫院更加回復到人手預約模式，認真濕滯。 一半機構唔達標 黑客對醫療機構嘅資料愈嚟愈有興趣，其實已經唔係乜嘢秘密。網絡安全評級機構 BitSight，上個月亦發表咗一份關於醫療機構安全性嘅調查報告，結果相當令人失望。BitSight 專家指出只得一半醫療機構達到優異評級，同時亦有 51% 採用緊過期系統或已停止支援嘅裝置，呢啲都係有助黑客發動攻擊嘅利好因素。 除咗勒索軟件攻擊，黑客亦好努力咁去 hack 入系統，因為入面嘅病歷資料非常值錢。除咗可以幫黑客提升社交工程嘅成功率，入面仲可能有名人嘅病歷，例如上年新加坡醫療機構 SingHealth 被黑客盜取嘅 150 萬個病歷中，更包括總理李顯龍，所以先至咁值錢。另外，上月FireEye 專家發表利用隔離系統放置誘餌文件嘅報告，指出黑客對癌症會議文件特別有興趣，相信有關企業係想僱用黑客集團了解美國治癌嘅最新發展，希望可以搶先喺市場上推出新藥物。 資料來源：https://bit.ly/2OusgvK 、 https://bbc.in/2MqN98t